Waarom Windows die VPN-wagwoord aan 'n lêerbediener aanbied

Windows kan 'n tonnel opbou en dan dieselfde rekening aan 'n lêerbediener aanbied wat nog nooit daarvan gehoor het nie. Die poortwag het die aanmelding aanvaar; die gedeelte het nie, en om die wagwoord weer in te tik verander niks. Om die stoor van geloofsbriewe vir die hele rekenaar af te skakel, lyk soos die regstelling en is nie een nie. 'n Inheemse RAS-verbinding het 'n skakelaar per profiel wat presies hierdie bedoeling uitdruk.

Identifiseer watter rekening verwerp is

Lees die opdrag in plaas daarvan om dit weg te klik. Die bedienernaam in die dialoog, die domein wat langs die gebruikersnaam gedruk staan, en of die opdrag voor of ná die tonnel gevorm is opgedaag, wys elkeen na iets anders. 'n Fout wat 'n gedeelte noem is nie dieselfde fout as een wat 'n gasheer noem nie.

Bevestig eers dat die hulpbron hoegenaamd antwoord voordat jy oor identiteit redekawel. 'n Ontbrekende roete, 'n tikfout in die bedienernaam en 'n rekening sonder deeltydtoestemmings lewer drie verskillende simptome, en net die laaste een raak die identiteit wat Windows aangebied het. Gaan na of die verwerpte rekening die poortwag-rekening is. As die VPN-aanmelding 'n afstandtoegang-identiteit is wat aan die poortwag behoort eerder as 'n gidsrekening, het die lêerbediener geen rede om dit te herken nie, en om dieselfde wagwoord weer in te tik herhaal net dieselfde verwerping. Daardie onderskeid bepaal of die volgende afdeling hoegenaamd op jou van toepassing is.

Stel UseRasCredentials op een profiel

Die veld is UseRasCredentials, en 'n waarde van nul keer dat daardie een verbinding sy RAS-geloofsbriewe aan netwerkhulpbronne aanbied. Die verandering is tot 'n profiel beperk, en dit is juis die punt: dit het een gedokumenteerde betekenis en dit raak niks anders op die masjien nie.

Die sekuriteitsbeleid wat gestoorde geloofsbriewe vir netwerkverifikasie blokkeer, doen die teenoorgestelde: dit geld vir elke verbinding op die rekenaar. Om dit hier te gebruik sou die gedrag verander vir elke hulpbron wat die gebruiker volgende week oopmaak, en daarom hoort dit buite hierdie herstelling. UseRasCredentials is ook 'n RAS-kenmerk, so 'n derdeparty-kliënt met sy eie hantering van geloofsbriewe sal dit ignoreer. Vir daardie kliënte is die verskaffer se dokumentasie die enigste gesag oor of die gedrag verander kan word. Gaan na watter kliënt die verbinding besit voordat jy 'n lêer redigeer wat daardie kliënt nooit lees nie.

Redigeer die telefoonboek wat die verbinding besit

Vind die telefoonboek wat die verbinding besit voordat jy 'n redigeerder oopmaak. 'n Verbinding wat deur die gebruiker geskep is, woon in die roaming-toepassingsdata-pad, en een wat vir alle gebruikers geskep is, woon onder die programdata-gids; die twee lêers is onafhanklik. Om die verkeerde een te redigeer verander niks, en die fout lyk daarna identies.

Lys albei liggings en bevestig die volle pad van die lêer wat jy wil redigeer. 'n Lêer onder die verkeerde profiel sal geïgnoreer word selfs nadat jy dit korrek verander het, en die tweede fout lyk presies soos die eerste.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Binne die afdeling met die presiese verbindingsnaam is die skakelaar een reël. Verander net daardie waarde en laat elke ander afdeling soos dit was.

UseRasCredentials=1   becomes   UseRasCredentials=0

'n Lêerwye vervanging oor elke verbinding in die telefoonboek is nie 'n enkelprofiel-verandering nie, en dit duik weke later op wanneer iemand 'n onverwante tonnel ontfout. Hou die rugsteun langs die lêer totdat die verandering bevestig is. As die toestel bestuur word, is die eienaar-ontplooiing waar die instelling verander moet word, nie 'n lêer onder die gebruikersprofiel nie. Ondersteunde Windows-weergawes bied 'n ekwivalent per profiel deur die VPNv2-konfigurasiediensverskaffer, en sy weergawevereistes moet afsonderlik van dié van die verskaffer as geheel nagegaan word.

Bevestig met 'n nuwe poging

Ontkoppel, sluit die sessie wat oop was en probeer weer. 'n Bestaande gekarteerde skyf of oop lêerhandvatsel kan aanhou om die identiteit te gebruik waarmee dit reeds geauthentiseer het, so enigiets wat deur 'n ou sessie werk, bewys niks oor die verandering nie. Bevestig eers die geredigeerde waarde, met genoeg konteks om die afdeling te wys waaraan dit behoort.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Bevestig dan watter identiteit die hulpbron werklik ontvang het. 'n Gedeelte wat steeds toegang weier met die korrekte rekening is 'n magtigingsprobleem, en die lêerbediener se eie log is waar daardie antwoord woon. Die gedokumenteerde beskrywing van hierdie instelling dek die ontplooiing waar die VPN-identiteit van die gidsidentiteit verskil, en dit is die moeite werd om te lees voordat jy aanvaar die veld geld vir jou kliënt. Teken die verandering, die telefoonboekpad en die rekening wat die hulpbron nou sien aan, want die volgende persoon wat dit tref begin by dieselfde verwarring.